Основы этичного веб-хакинга (перевод)
3. Повышение полномочий на Binary.com
Сложность: Низкая
Url: binary.com
Ссылка на отчет: https://hackerone.com/reports/98247¹⁸
Дата отчета: 14 ноября 2015
Выплаченное вознаграждение: $300
Описание:
Это очень простая уязвимость, которая не требует длинных
пояснений.
В двух словах, в этой ситуации пользователь был способен
войти в любой аккаунт и увидеть приватную информацию
или выполнить действия от имени владельца взломанного
аккаунта, и все, что для этого нужно — знать ID аккаунта
пользователя.
Перед взломом, если бы вы были залогинены на Binary.com/cashier
и посмотрели в исходный HTML страницы, вы бы заметили
тег <iframe>, который содержал параметр PIN. Этот параметр
на самом деле являлся ID вашего аккаунта.
Далее, если бы вы отредактировали HTML и вставили другой
PIN, сайт автоматически выполнил бы действие от имени
нового аккаунта, без валидации пароля или других данных.
Другими словами, сайт считал бы вас владельцем аккаунта,
ID которого вы только что вставили.
Еще раз, все что было нужно — знать номер чьего-нибудь
аккаунта. Вы могли даже изменить событие, выполняемое в
iframe на PAYOUT чтобы инициализировать выплату на дру-
гой счет. Однако, несмотря на то, что Binary.com сообщает, что
все выплаты требуют ручного рассмотрения сотрудником, это
не значит, что подмена была бы замечена.
Выводы
Если вы ищете уязвимости, основанные на
аутентификации, обратите внимание, как пере-
даются данные доступа к сайту. Хотя эта уязви-
мость была обнаружена при простом просмотре
исходного кода страницы, вам также стоит по-
смотреть, что же передается сайту при помощи
прокси-перехватчика.
Если вы обнаружили, что передается какой-либо
вид данных доступа, посмотрите, зашифрова-
ны ли они и попробуйте поиграться с ними. В
этом случае pin был просто CRXXXXXX, хотя
пароль был 0e552ae717a1d08cb134f132… Очевидно,
что PIN не был зашифрован, а пароль — был.
Незашифрованные значения являются хорошей
стартовой точкой для начала экспериментов.
#42574 в Разное
#1027 в Бизнес-литература
#5055 в Развитие личности
хакер, хакинг, основы этичного хаки...
16+
Отредактировано: 08.03.2019
Добавить в библиотеку